SonicWall SMA1000: SSRF pre-autenticazione CVE-2026-102255

SonicWall ha pubblicato le correzioni per quattro vulnerabilità degli apparati SMA1000, i gateway di accesso remoto SSL VPN della serie Secure Mobile Access 1000. La più grave, CVE-2026-102255, ha il punteggio CVSS massimo, 10.0: è una vulnerabilità di tipo SSRF (server-side request forgery) sfruttabile senza autenticazione attraverso l’interfaccia Work Place, il portale a cui si collegano gli utenti.

Secondo SonicWall, al momento non ci sono prove di sfruttamento. Non esiste però un workaround: l’unica difesa è installare l’aggiornamento.

Cosa è successo

Nell’interfaccia Work Place esiste un percorso di accesso alternativo non previsto. Abusandone, un attaccante remoto senza credenziali può far eseguire all’apparato richieste per suo conto: in questo modo raggiunge funzioni interne dell’SMA1000 e compie operazioni non autorizzate. Non serve alcuna interazione da parte di un utente.

Il punteggio 10.0 riflette proprio questo: attacco via rete, bassa complessità, nessun privilegio richiesto e, come osserva un analista citato da CSO Online, effetti che vanno oltre il componente vulnerabile (il cambio di scope nella metrica CVSS). Un gateway VPN è autorizzato per sua natura a dialogare con la rete interna, e una SSRF su questo tipo di apparato sfrutta proprio quella fiducia.

Insieme alla CVE-2026-102255, SonicWall ha corretto altre tre vulnerabilità, tutte sfruttabili solo da un utente autenticato.

Dettagli tecnici

• CVE-2026-102255, CVSS 10.0: SSRF pre-autenticazione nell’interfaccia Work Place, dovuta a un percorso di accesso alternativo non previsto.
• CVE-2026-102256, CVSS 7.8: iniezione di comandi del sistema operativo. Security Affairs la descrive come sfruttabile da un amministratore autenticato; CSO Online parla di un attaccante remoto autenticato che può ottenere i privilegi di amministratore ed eseguire comandi arbitrari.
• CVE-2026-102257, CVSS 7.2: vulnerabilità di tipo Zip Slip (path traversal durante l’estrazione di un archivio) nella Appliance Management Console; permette di scrivere file fuori dalla cartella prevista e di arrivare all’esecuzione di codice da remoto.
• CVE-2026-102258, CVSS 5.5: cross-site scripting memorizzato nella console di gestione, sfruttabile da un utente autenticato.
• Modelli colpiti: SMA1000 6210, 7210 e 8200v.
• Versioni colpite: 12.4.3-03526 (platform-hotfix) e precedenti; 12.5.0-02952 (platform-hotfix) e precedenti.
• Versioni corrette: 12.4.3-03670 e 12.5.0-03082 o successive, scaricabili dal portale MySonicWall.
• Non colpiti: la SSL VPN dei firewall SonicWall e la serie SMA 100.
• Sfruttamento: nessuna prova finora, secondo SonicWall.
• MITRE ATT&CK: un eventuale sfruttamento della CVE-2026-102255 ricadrebbe in T1190 (Exploit Public-Facing Application).

Il contesto: un’altra vulnerabilità critica in pochi mesi

Non è la prima vulnerabilità grave degli SMA1000 di quest’anno. A settembre SonicWall ha corretto CVE-2026-83548 (CVSS 10.0) e CVE-2026-83549 (CVSS 7.8), dopo averne confermato lo sfruttamento attivo; secondo Security Affairs gli attaccanti probabilmente le concatenavano per arrivare all’esecuzione di codice arbitrario. CSO Online ricorda inoltre la CVE-2026-15409, anch’essa con CVSS 10, sfruttata come zero-day a luglio.

C’è poi un dettaglio pratico, sottolineato dall’analista citato da CSO Online: le build indicate come vulnerabili, 12.4.3-03526 e 12.5.0-02952, sono le stesse che correggevano le vulnerabilità di settembre. Chi ha aggiornato il mese scorso deve quindi aggiornare di nuovo.

Impatto per le aziende europee e italiane

Gli SMA1000 sono usati da aziende medie e grandi, da fornitori di servizi di sicurezza gestiti e da enti pubblici per dare accesso remoto alla rete interna. Stanno sul perimetro e devono raggiungere i sistemi interni: è questo che li rende un bersaglio interessante. Secondo CSO Online, negli ultimi quattro anni la CISA ha inserito 19 vulnerabilità SonicWall nel suo catalogo delle vulnerabilità sfruttate, 13 delle quali usate in attacchi ransomware.

Per i soggetti che rientrano nella NIS2, la gestione tempestiva delle vulnerabilità dei sistemi esposti fa parte delle misure di sicurezza richieste; se emergessero segni di compromissione, l’incidente va valutato per la notifica allo CSIRT Italia dell’ACN. Nella sanità gli accessi remoti di personale e fornitori passano spesso da gateway di questo tipo, e un apparato compromesso avvicina l’attaccante ai sistemi che trattano dati clinici.

Cosa fare subito

1. Inventario: individua tutti gli SMA1000, fisici e virtuali, e controlla la build completa installata su ciascuno, non solo il ramo.
2. Aggiorna: porta il ramo 12.4.3 alla 12.4.3-03670 e il ramo 12.5.0 alla 12.5.0-03082, o a versioni successive. Non ci sono alternative all’aggiornamento.
3. Riduci l’esposizione: dove possibile, non lasciare la console di gestione e l’interfaccia Work Place raggiungibili da tutta Internet, come consiglia l’analista citato da CSO Online.
4. Controlla i log: cerca richieste anomale verso l’interfaccia Work Place e connessioni dall’SMA1000 verso sistemi interni che normalmente non contatta.
5. Se l’apparato è rimasto esposto e non aggiornato a luglio o a settembre: considera l’aggiornamento l’inizio di un’indagine, non la fine. Dopo gli incidenti precedenti SonicWall aveva indicato di reinstallare l’apparato, cambiare le password e reimpostare i codici TOTP dell’autenticazione a due fattori; secondo CSO Online queste indicazioni restano valide.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a capire se un portale di accesso remoto o una console di gestione sono raggiungibili da fuori. ARX Sentry raccoglie in un punto centrale i log di firewall, server e computer, così le connessioni anomale da e verso il gateway restano sotto gli occhi degli analisti. Con ARX Horizon consulti dal portale i dettagli delle vulnerabilità.

Ultimo aggiornamento: 8 ottobre 2026